技術の成果は見える。人間の成果は見えるのでしょうか
これまで二つのシリーズを通して、人間に何を残したいのか、その力をどう育てるのかを考えてきました。
人間に残したいのは、いつも正解する力ではありません。
違和感に気づく。
一度、立ち止まる。
分からないことを認める。
必要なときに助けを求める。
失敗しても、学びを持って戻ってくる。
私は、こうした力を「サイバー判断力」と「サイバー回復力」と呼んでいます。
そして、その力を知識として教えるだけではなく、型と稽古によって育てる。
ここまでが、前のシリーズで見えてきた私なりのHuman Hardeningでした。
では、その力が本当に育ったことを、どう確かめればよいのでしょうか。
今日から、次の問いを考えてみたいと思います。
技術には、分かりやすい手応えがあります
私は技術屋です。
技術の面白さの一つは、結果が見えることだと思っています。
動かなかったものが動きます。
遅かった処理が速くなります。
エラーが減ります。
作業時間やコストが下がります。
作った。動いた。改善した。
そこには、分かりやすい手応えがあります。
もちろん、技術の効果を測ることも、実際にはそれほど単純ではありません。それでも、速度、件数、時間、コストなど、変化を表す数字を見つけることはできます。
では、人間の変化はどうでしょうか。
以前より、違和感に早く気づけるようになりました。
急かされても、一度立ち止まれるようになりました。
分からないことを隠さず、相談できるようになりました。
失敗したあとにも、自分を責めるだけで終わらず、次の判断へ学びをつなげられるようになりました。
こうした変化は、どのように確かめればよいのでしょうか。
知っていることと、できること
これまでのセキュリティ教育では、知識テストがよく使われます。
不審なメールの特徴を知っていますか。
正しいパスワードの管理方法を理解していますか。
インシデントが起きたときの報告先を知っていますか。
知識を確認することは必要です。
けれど、知っていることと、実際にできることは同じではありません。
不審なメールの特徴を知っていても、忙しいときにはリンクを押してしまうかもしれません。
報告先を知っていても、失敗を責められるのが怖ければ、相談できないかもしれません。
テストで満点を取った人が、混乱のなかでも立ち止まれるとは限りません。
反対に、テストではうまく答えられなくても、違和感に気づき、すぐに助けを求められる人もいるかもしれません。
それでは、私たちは何を測っているのでしょうか。
知識でしょうか。
正解した数でしょうか。
それとも、実際に人間のなかに残った力でしょうか。
正解だけを測ればよいのでしょうか
例えば、サイバー攻撃を想定した稽古で、ある人が正しい対応を選んだとします。
正解できたので、判断力が育った。
そう言ってよいのでしょうか。
偶然選んだだけかもしれません。
AIが示した答えに従っただけかもしれません。
反対に、結果として間違った選択をしても、状況を丁寧に考え、自分に足りない情報を認識し、判断の理由を説明できていたかもしれません。
以前、判断について考えたとき、
よい判断が、よい結果になるとは限りません。
よい結果が、よい判断の証拠になるとも限りません。
というところにたどり着きました。
そうであれば、判断する力を、正解と不正解だけで測ることもできないはずです。
大切なのは、答えだけではありません。
何に気づいたのでしょうか。
どこで立ち止まったのでしょうか。
何が分かっていないと認識したのでしょうか。
どのような選択肢を考えたのでしょうか。
なぜ、その行動を選んだのでしょうか。
結果を見て、何を学んだのでしょうか。
判断へ至るプロセスと、その後の振り返りに、人間の変化が表れるのではないかと思います。
測ることは、人を採点することでしょうか
「人間の力を測る」と言うと、少し怖さも感じます。
点数をつける。
できる人と、できない人を分ける。
弱い人を見つける。
問題のある人を、もう一度教育する。
それでは、Human Hardeningが、人間の弱さを見つけてパッチを当てる考え方へ戻ってしまいます。
私が測りたいのは、「誰が弱いか」ではありません。
その人が、以前よりも何に気づけるようになったのか。
どこで迷い、何があれば立ち止まれたのか。
どのような支援があれば、助けを求められたのか。
失敗したあと、何を学びとして持ち帰れたのか。
それを知るために測りたいのです。
測定は、人を選別するための終点ではありません。
次の稽古や、よりよい支援を考えるための入口です。
人を評価するために測るのではなく、育て方を見つけるために測る。
私は、そのような測り方を探したいと思っています。
何を成果と呼ぶのでしょうか
人間の成果は、知識テストの点数だけでは見えません。
事故が起きなかったという結果だけでも、十分ではありません。
気づくまでの時間が短くなったこと。
一度止まり、確かめられたこと。
「分からない」と言えたこと。
以前より早く助けを求められたこと。
判断の理由を、自分の言葉で説明できたこと。
失敗を隠さず報告し、経験を次の判断へつなげられたこと。
こうした小さな変化のなかに、人間の成果があるのかもしれません。
ただ、ここで次の難しさが出てきます。
事故が起きなければ、セキュリティの価値は見えません。
一方で、報告が増えれば、問題が増えたように見えることもあります。
早く相談できるようになった結果、インシデントの報告件数が増えたとしたら、それは悪い結果なのでしょうか。
それとも、今まで見えなかったものが見えるようになった、組織の成熟なのでしょうか。
次回は、この問いを考えてみたいと思います。
「何も起きなかった」セキュリティに、どのような価値があるのでしょうか。
そして、悪く見える数字のなかに、成長を見つけることはできるのでしょうか。
#HumanHardening #サイバー判断力 #サイバー回復力 #人間中心セキュリティ #セキュリティ教育 #効果測定 #組織学習 #レジリエンス #サイバーセキュリティ